Симон Робинсон - C# для профессионалов. Том II

Необходимо знать, что нельзя удалить группу кода All Code, но можно удалить группы кода на уровень ниже, включая группы для Internet, MyComputerи LocalIntranet.

Чтобы ослабить или ограничить полномочия, присвоенные группе кода, можно снова использовать caspol.exe. Предположим, что мы хотим применить FullTrustк зоне Intranet. В этом случае сначала мы должны получить метку, которая представляет группу кода Intranet:

caspol.exe -listgroups

Вывод показывает группу кода Intranet:

Code Groups:

1. All code: Nothing

1.1 Zone - MyComputer: FullTrust

1.2. Zone — Intranet: LocalIntranet

1.2.1. All code: Same site Socket and Web.

1.2.2. All code: Same directory FileIO - Read, PathDiscovery

1.3. Zone - Internet: Internet

1.3.1. All code: Same site Socket and Web.

1.4. Zone — Untrusted: Nothing

1.5. Zone — Trusted: Internet

1.5.1. All code: Same site Socket and Web.

…

После получения метки группы кода Intranetвводим вторую команду, чтобы изменить полномочия группы кода:

caspol.exe -chggroup 1.2 FullTrust

Команда будет запрашивать подтверждение изменения политики системы безопасности, и если теперь снова выполнить команду caspol.exe -listgroups, можно будет увидеть, что полномочие в конце строки Intranetизменилось на FullTrust:

Code Groups:

1. All code: Nothing

1.1. Zone - MyComputer: FullTrust

1.2. Zone - Intranet: FullTrust

1.2.1. All code: Same site Socket and Web.

1.2.2. All code: Same directory FileIO - Read, PathDiscovery

1.3. Zone - Internet: Internet

1.3.1. All code: Same site Socket and Web.

1.4. Zone — Untrusted: Nothing

1.5. Zone - Trusted: Internet

1.5.1. All code: Same site Socket and Web.

…

Можно создавать новые множества полномочий с помощью команды:

caspol.exe -addpset CustomPermissionSet permissionset.xml

Эта команда определяет, что создается новое множество полномочий с именем CustomPermissionSetна основе содержимого указанного файла XML. Файл XML должен содержать стандартный формат, определяющий PermissionSet. Для справки здесь представлен файл множества полномочий для множества полномочий Everything, который можно сократить до требуемых размеров:

Description="Allows unrestricted access to all resources covered by built in permissions">

Flags="Assertion, UnmanagedCode, Execution, ControlThread, ControlEvidence, ControlPolicy, SerializationFormatter, ControlDomainPolicy, ControlPrincipal, ControlAppDomain, RemotingConfiguration, Infrastructure" />

Чтобы увидеть все множества полномочий в формате XML, можно использовать команду:

caspol.exe -listpset

При желании применить конфигурационный файл PermissionSet XML к существующему множеству полномочий можно использовать команду:

caspol.exe -chgpset permissionset.xml CustomPermissionSet

.NET предоставляет возможность сопоставить сборку с группой кода, когда идентичность и целостность сборки подтверждена с помощью строгого имени. Этот сценарий широко используется при распространении сборок через сети, например распространение программного обеспечения через Интернет.

Если компания, производящая программное обеспечение, желает предоставить код своим заказчикам через Интернет, то создается сборка и для нее задается устойчивое имя. Устойчивое имя гарантирует, что сборка может быть идентифицирована уникальным образом, и также предоставляет защиту против подделки. Заказчики могут встроить это устойчивое имя в свою политику системы безопасности доступа к коду, а сборке, которая соответствует этому уникальному устойчивому имени, затем явно присвоить полномочия. Как мы видели в главе о сборках, устойчивое имя включает контрольные суммы для хэш-значений всех файлов в сборке, поэтому имеется строгое подтверждение, что сборка не была изменена с момента создания издателем устойчивого имени.

Отметим, что, если приложение использует программу установки, то эта программа будет устанавливать сборки, для которых уже задано устойчивое имя. Устойчивое имя создается однажды для каждого дистрибутива перед отправкой заказчику, программа установки не выполняет такие команды. Причина заключается в том, что устойчивое имя предоставляет гарантию, что сборка не была модифицирована с момента отправки из компании. Обычный способ достичь этого состоит в предоставлении заказчику не только кода приложения, но также отдельно — копию устойчивого имени сборки. Может оказаться полезным передавать устойчивое имя заказчику с помощью защищенной формы (возможно, факс или зашифрованное сообщение e-mail), чтобы защитить сборку от подделки в пути.